Google informó este 2 de noviembre que, durante la semana pasada, desmanteló junto con socios de la industria la puerta trasera XCPE y su botnet, que había incorporado más de 1.3 millones de decodificadores, principalmente TV boxes con Android. La operación ocurrió a finales de octubre: el anuncio de hoy cuenta cómo estos equipos terminaron trabajando para delincuentes sin permiso de sus dueños.

🔒 Según la investigación de Google, la compañía tiene alta confianza en que Videostrong Technology Co., fabricante y diseñador de equipos Android para otras marcas, desarrolló, desplegó y operó deliberadamente XCPE para ganar dinero. Google sostiene que vendía acceso a afiliados criminales y cargaba sus módulos maliciosos; encontró el software integrado en distintos modelos y marcas durante varios años, con infraestructura dedicada y cambios constantes para evadir la detección, por lo que descarta que se tratara de un simple descuido o de un empleado actuando por su cuenta.

📊 Esos módulos servían para cometer fraude publicitario, incorporar silenciosamente los equipos a redes de proxies residenciales y descargar más malware; Google también reporta extracción de datos y tráfico malicioso circulando por los dispositivos. La empresa estima que intervenir los dominios de mando de esos afiliados cortará el acceso a al menos otros 10 millones de dispositivos comprometidos, porque sus módulos también se distribuyen por canales ajenos a XCPE: no significa que todos esos equipos pertenecieran a esta botnet.

⚙️ Google emprendió acciones legales para dar de baja los dominios y servidores que Videostrong utilizaba para controlar la red e instalar módulos, además de dominios de mando asociados con más de una docena de familias de malware. También rompió relaciones con Videostrong y prohibió que la empresa, sus futuras subsidiarias o afiliadas fabriquen y vendan dispositivos Android certificados, precarguen aplicaciones de Google o suministren software a otros proveedores certificados.

🛠️ Los fabricantes deben superar pruebas de compatibilidad y seguridad, pero, según Google, Videostrong ocultó código y aprovechó un hueco en esas pruebas para cargarlo después del primer arranque; la compañía modificó su revisión y está reforzando las comprobaciones de integridad del firmware en Android TV certificado. En el análisis y la interrupción participaron la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI.

¿Por qué importa que el malware venga en el firmware?

Aquí el problema no era solamente una aplicación descargada: la puerta trasera venía integrada en el equipo y podía reinstalarse al reiniciar. Para quienes desarrollan o revisan software de dispositivos, el caso muestra por qué importa comprobar lo que sucede después del primer arranque, no sólo lo que contiene la imagen inicial.

  • Puerta trasera persistente: el paquete x.cpe, llamado com.oemservice en algunas compilaciones, venía precargado en el firmware y operaba con privilegios android.uid.system. Al arrancar revisaba /oem/ e instalaba el paquete correspondiente en /data/app/; si el usuario lo desinstalaba, podía recuperarlo en el siguiente reinicio. Su tarea principal era comunicar el servidor de mando con el cargador.
  • Cargador separado: com.abc.nexus ejecutaba los módulos y utilizaba herramientas nativas contra el análisis para dificultar su detección en entornos aislados. Más recientemente, los operadores comenzaron a sustituirlo por descargadores especializados que cargaban y ejecutaban un solo módulo.
  • Módulos para monetizar: se desplegaban como procesos ELF nativos, SDK integrados en el código DEX de com.abc.nexus o APK adicionales. Entre los ejemplos aparecen Linkfog, AppSalt y NetNut para proxies residenciales; CBOXTV y HiddenView para fraude publicitario; y Moyu y Spirit como puertas traseras capaces de cargar todavía más módulos.
  • Control en dos pasos: primero se enviaban solicitudes HTTP POST para obtener configuración dinámica, geolocalización y parámetros de servidores STUN. Después se mantenía una conexión MQTT —un protocolo ligero de publicación y suscripción— para recibir órdenes de instalar aplicaciones sin avisar, ejecutar comandos de shell, capturar pantallas y explorar la red.
  • Descargas remotas: los operadores podían ordenar mediante MQTT la descarga de módulos, scripts de shell y aplicaciones legítimas. Una gran mayoría de esos archivos estaba alojada como lanzamientos de GitHub en páginas controladas por los operadores; también utilizaban servidores propios y servicios de alojamiento.

Google advierte que esta intervención no termina con todo el ecosistema: los operadores de puertas traseras, las redes de fraude publicitario y los proveedores de proxies residenciales forman una cadena conectada. Interrumpirla tiene efecto, pero la compañía considera necesario seguir atacando su infraestructura para que el golpe sea duradero.

💬 ¿Qué información de seguridad y actualizaciones revisas antes de comprar una TV box?

¿Pero deveras? 🌵💚